Auftragsverarbeitungsvertrag

1. Gegenstand und Weisungen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen ausschließlich zur Erbringung des Dienstes Workflow Forms: Anzeige von Formularen im Online-Shop des Verantwortlichen (als Theme-App-Block, als Popup oder als Seite unter einem direkten Link, ausgeliefert über den App-Proxy von Shopify), Entgegennahme und Speicherung der Einsendungen der Shop-Besucher des Verantwortlichen, Schutz der Formulare vor Spam, Übergabe jeder Einsendung an Shopify Flow als Trigger, Anzeige der Einsendungen für den Verantwortlichen in einem Posteingang sowie, soweit der Verantwortliche dies einschaltet, Kopie der Einsendungen als Metaobjekte in den Shopify-Shop des Verantwortlichen und Export als CSV.

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen - auch in Bezug auf die Übermittlung in ein Drittland -, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten hierzu verpflichtet ist. Dieser AVV bildet zusammen mit der Nutzung und Konfiguration der App durch den Verantwortlichen diese dokumentierte Weisung.

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt.

2. Laufzeit

Dieser AVV gilt, solange der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet, d. h. für die Dauer der Nutzung der App durch den Verantwortlichen, und endet mit der Löschung oder Rückgabe der Daten gemäß Ziffer 9.

3. Art und Zweck der Verarbeitung; Daten und Betroffene

Art und Zweck der Verarbeitung: Anzeige von Formularen im Online-Shop des Verantwortlichen (als Theme-App-Block, als Popup oder als Seite unter einem direkten Link, ausgeliefert über den App-Proxy von Shopify), Entgegennahme und Speicherung der Einsendungen der Shop-Besucher des Verantwortlichen, Schutz der Formulare vor Spam, Übergabe jeder Einsendung an Shopify Flow als Trigger, Anzeige der Einsendungen für den Verantwortlichen in einem Posteingang sowie, soweit der Verantwortliche dies einschaltet, Kopie der Einsendungen als Metaobjekte in den Shopify-Shop des Verantwortlichen und Export als CSV.

Kategorien personenbezogener Daten: die Werte der vom Verantwortlichen definierten Formularfelder, die Name, E-Mail-Adresse, Telefonnummer, Nachrichtentext und beliebige eigene Felder umfassen können; der Zustand von Einwilligungs-Checkboxen (etwa Marketing-Einwilligung); die Sprache des Shops; die Shopify-Kunden-ID eines angemeldeten Besuchers, wie Shopify sie signiert übergibt; ein Einweg-Hashwert des ersten E-Mail-Feldes und der Kunden-ID, der ausschließlich dem Auffinden der Einsendungen einer Person zur Löschung dient; Formular-Handle, Status und Zeitstempel. Die App hat keine Shopify-Datenberechtigungen und liest keine Kundendatensätze aus dem Shop des Verantwortlichen. Die IP-Adresse des Besuchers wird nur als kurzlebiger Hashwert zur Ratenbegrenzung verwendet und nie gespeichert oder protokolliert.

Kategorien betroffener Personen: Besucher des Online-Shops des Verantwortlichen, die ein Formular absenden, einschließlich der Kunden des Verantwortlichen; die Mitarbeiter des Verantwortlichen, die die App nutzen oder ihre Benachrichtigungen erhalten.

Weitere Einzelheiten ergeben sich aus Anlage 1.

4. Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und dass der Zugriff auf das für die Leistungserbringung erforderliche Maß beschränkt ist.

5. Sicherheit der Verarbeitung (Art. 32 DSGVO)

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und Zwecke der Verarbeitung und des Risikos für die Rechte und Freiheiten natürlicher Personen trifft der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen (TOM), um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die aktuellen Maßnahmen sind in Anlage 2 beschrieben.

6. Unterauftragsverarbeiter

Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine schriftliche Genehmigung, die in Anlage 3 genannten Unterauftragsverarbeiter zur Erbringung des Dienstes einzusetzen. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die den in diesem AVV festgelegten gleichwertig sind.

Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage im Voraus über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern und gibt dem Verantwortlichen damit die Möglichkeit, gegen solche Änderungen vor deren Wirksamwerden Einspruch zu erheben.

7. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen betroffener Personen zur Wahrnehmung ihrer Rechte nach Kapitel III DSGVO.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten gemäß Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

8. Verletzung des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, und stellt die Informationen bereit, die der Verantwortliche zur Erfüllung seiner Meldepflichten nach Art. 33 und 34 DSGVO billigerweise benötigt.

9. Löschung oder Rückgabe der Daten

Nach Wahl des Verantwortlichen löscht der Auftragsverarbeiter nach Abschluss der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, und zwar innerhalb von 30 Tagen nach Vertragsende (zum Beispiel Deinstallation der App), sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Pflicht zur Speicherung besteht.

Der Auftragsverarbeiter beachtet zudem die verpflichtenden Datenschutz-Webhooks von Shopify (customers/data_request, customers/redact und shop/redact) innerhalb der von Shopify vorgegebenen Fristen. Bei customers/data_request bestätigt und protokolliert der Auftragsverarbeiter die Anfrage und stellt von Hand die Einsendungen zusammen, die über die Kunden-ID oder den E-Mail-Hashwert des Kunden gefunden werden; diese übergibt er dem Verantwortlichen innerhalb der 30 Tage, die die Anforderungen von Shopify vorsehen; einen automatischen Export gibt es nicht. Bei shop/redact löscht der Auftragsverarbeiter sämtliche Daten des Shops des Verantwortlichen innerhalb von 48 Stunden nach Eingang des Webhooks; bei customers/redact löscht er jede Einsendung, deren E-Mail-Hashwert oder Kunden-ID zu dem in der Anfrage genannten Kunden passt. Unabhängig davon kann der Verantwortliche Einsendungen jederzeit einzeln oder gesammelt in der App oder über die Developer API löschen. Kopien, die der Verantwortliche als Metaobjekte in seinem Shopify-Shop oder als CSV-Export angelegt hat, liegen außerhalb der Systeme des Auftragsverarbeiters und werden vom Verantwortlichen gelöscht.

10. Nachweise und Audits

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen - einschließlich Inspektionen -, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden, nach angemessener Vorankündigung und unter Wahrung der Vertraulichkeit.

11. Drittlandtransfers

Die eigene Verarbeitungsinfrastruktur des Auftragsverarbeiters (Google Cloud, Region europe-west1, Belgien) befindet sich in der Europäischen Union. Die für diesen Dienst eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt. Soweit ein Unterauftragsverarbeiter - insbesondere Shopify - personenbezogene Daten außerhalb des EWR verarbeitet, erfolgt die Übermittlung unter geeigneten Garantien gemäß Kapitel V DSGVO, insbesondere den EU-Standardvertragsklauseln und, sofern einschlägig, dem EU-U.S. Data Privacy Framework.

12. Haftung und Schlussbestimmungen

Die Haftung richtet sich nach Art. 82 DSGVO und der Vereinbarung der Parteien über die Nutzung der App. Dieser AVV unterliegt dem Recht der Bundesrepublik Deutschland. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Änderungen bedürfen der Textform.

Bei Widersprüchen zwischen diesem AVV und sonstigen Vereinbarungen der Parteien gehen die Regelungen dieses AVV in Bezug auf den Datenschutz vor.

13. Vertragsschluss

Dieser Auftragsverarbeitungsvertrag wird auf der Website des Auftragsverarbeiters (und ggf. im Kundenkonto des Verantwortlichen) bereitgestellt. Der Vertragsschluss erfolgt, indem der Verantwortliche vor Vertragsschluss den Inhalt zur Kenntnis nimmt und die Bestätigungs-Checkbox (zum Beispiel 'Ich akzeptiere den Auftragsverarbeitungsvertrag') aktiv anklickt.

Eine handschriftliche Unterschrift des Verantwortlichen ist daher nicht erforderlich; die Zustimmung des Verantwortlichen wird elektronisch mit dem Datum der Annahme dokumentiert, und die Unterschrift des Auftragsverarbeiters ist nachstehend angebracht.

Anlage 1 - Einzelheiten der Verarbeitung

Gegenstand und Zweck: Anzeige von Formularen im Online-Shop des Verantwortlichen (als Theme-App-Block, als Popup oder als Seite unter einem direkten Link, ausgeliefert über den App-Proxy von Shopify), Entgegennahme und Speicherung der Einsendungen der Shop-Besucher des Verantwortlichen, Schutz der Formulare vor Spam, Übergabe jeder Einsendung an Shopify Flow als Trigger, Anzeige der Einsendungen für den Verantwortlichen in einem Posteingang sowie, soweit der Verantwortliche dies einschaltet, Kopie der Einsendungen als Metaobjekte in den Shopify-Shop des Verantwortlichen und Export als CSV.

Art der personenbezogenen Daten: die Werte der vom Verantwortlichen definierten Formularfelder, die Name, E-Mail-Adresse, Telefonnummer, Nachrichtentext und beliebige eigene Felder umfassen können; der Zustand von Einwilligungs-Checkboxen (etwa Marketing-Einwilligung); die Sprache des Shops; die Shopify-Kunden-ID eines angemeldeten Besuchers, wie Shopify sie signiert übergibt; ein Einweg-Hashwert des ersten E-Mail-Feldes und der Kunden-ID, der ausschließlich dem Auffinden der Einsendungen einer Person zur Löschung dient; Formular-Handle, Status und Zeitstempel. Die App hat keine Shopify-Datenberechtigungen und liest keine Kundendatensätze aus dem Shop des Verantwortlichen. Die IP-Adresse des Besuchers wird nur als kurzlebiger Hashwert zur Ratenbegrenzung verwendet und nie gespeichert oder protokolliert.

Kategorien betroffener Personen: Besucher des Online-Shops des Verantwortlichen, die ein Formular absenden, einschließlich der Kunden des Verantwortlichen; die Mitarbeiter des Verantwortlichen, die die App nutzen oder ihre Benachrichtigungen erhalten.

Dauer: für die Laufzeit der Nutzung der App durch den Verantwortlichen (siehe Ziffer 2). Einsendungen werden gespeichert, bis der Verantwortliche sie löscht oder eine customers/redact-Anfrage sie erfasst; Hashwerte zur Ratenbegrenzung verfallen nach wenigen Minuten.

Anlage 2 - Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft die folgenden technischen und organisatorischen Maßnahmen:

• Vertraulichkeit - Zutrittskontrolle: Hosting in den zertifizierten EU-Rechenzentren von Google Cloud (ISO 27001 / SOC 2); der Auftragsverarbeiter betreibt keine eigenen Serverräume.
• Vertraulichkeit - Zugangskontrolle: authentifizierter Zugang zu allen Systemen, Multi-Faktor-Authentifizierung (MFA) für administrative Zugänge, Einsatz eines Passwort-Managers, administrative Konten nach dem Least-Privilege-Prinzip, keine geteilten Logins sowie Dienstkonten nach dem Least-Privilege-Prinzip für den Zugriff der Anwendung auf Cloud-Ressourcen.
• Vertraulichkeit - Zugriffskontrolle: rollenbasierte Zugriffsbeschränkungen, Zugriffsprotokollierung und Verschlüsselung ruhender Daten.
• Vertraulichkeit - Trennungskontrolle: logische Trennung der Daten je Händler (Mandantentrennung) sowie getrennte Produktions- und Nicht-Produktions-Umgebungen.
• Integrität - Weitergabekontrolle: TLS/HTTPS für alle Daten während der Übertragung; Anwendung, Datenbanken, Dateispeicher und Caches laufen in der Google-Cloud-Region europe-west1 (Belgien).
• Integrität - Eingabekontrolle: Protokollierung relevanter Änderungen (wer, was, wann).
• Verfügbarkeit und Belastbarkeit: redundante EU-Cloud-Infrastruktur, Monitoring und Alerting, regelmäßige, vollständig verschlüsselte Backups sowie dokumentierte Wiederherstellungsverfahren.
• Verfahren zur regelmäßigen Überprüfung: Datenschutz-Management, ein Incident-Response- und Meldeprozess für Datenschutzverletzungen, Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen sowie Kontrolle der Unterauftragsverarbeiter nach Art. 28 Abs. 2 und 4 DSGVO.
• Speicherbegrenzung: Einsendungen werden nur aufbewahrt, bis der Verantwortliche sie löscht oder eine Löschanfrage sie erfasst; Hashwerte von Besucher-IP-Adressen zur Ratenbegrenzung verfallen nach wenigen Minuten; technische Protokolle enthalten keine Formularwerte, keine Kundendaten und keine IP-Adressen von Besuchern und werden nur für begrenzte Zeit aufbewahrt.
• Formularwerte werden je Einsendung als ein verschlüsselter Umschlag mit einem eigens dafür bestimmten Schlüssel in Google Cloud KMS gespeichert und nur entschlüsselt, wenn der Verantwortliche eine Einsendung öffnet oder exportiert oder ein Workflow die Werte benötigt; Listen zeigen nur, wer wann eingesendet hat. Spamschutz durch ein signiertes Render-Token mit Zeitstempel, ein Honeypot-Feld und Ratenbegrenzungen je Shop und Formular; das Formular-Skript setzt keine Cookies.
• Alle Daten werden im Ruhezustand mit kundenverwalteten Schlüsseln in Google Cloud KMS (CMEK) verschlüsselt; das Shopify-Zugriffstoken des Verantwortlichen ist zusätzlich auf Feldebene mit einem separaten KMS-Schlüssel verschlüsselt und wird nur im Arbeitsspeicher entschlüsselt; API-Schlüssel werden ausschließlich als Hashwerte gespeichert.

Anlage 3 - Genehmigte Unterauftragsverarbeiter

Der Verantwortliche genehmigt die folgenden Unterauftragsverarbeiter. Kein Unterauftragsverarbeiter: Wählt der Verantwortliche für ein Formular eine Google-Schriftart, lädt der Browser des Besuchers die Schriftdateien auf Weisung des Verantwortlichen direkt von Google Fonts (Google Ireland Limited); der Verantwortliche behandelt dies in seiner eigenen Datenschutzerklärung.

• Google Cloud EMEA Limited - Hosting (Kubernetes), Datenbank (Cloud SQL), Cache (Memorystore), Dateispeicher für die vom Verantwortlichen hochgeladenen Schriften (Cloud Storage) und Schlüsselverwaltung (Cloud KMS) - Europäische Union - Google-Cloud-Region europe-west1 (Belgien) - AVV: https://cloud.google.com/terms/data-processing-addendum
• Shopify International Limited - Die Shopify-Plattform: OAuth, der App-Proxy und die Theme-App-Erweiterung, über die Formulare im Shop des Verantwortlichen angezeigt und Einsendungen an den Auftragsverarbeiter übermittelt werden, Webhooks, Shopify Flow, das jede Einsendung als Trigger „Form submitted“ erhält, sowie, soweit der Verantwortliche dies einschaltet, Metaobjekte im eigenen Shop des Verantwortlichen - Irland (EU); Shopify ist weltweit tätig, Drittlandübermittlungen sind nach Kapitel V DSGVO abgesichert (SCC / EU-U.S. DPF) - AVV: https://www.shopify.com/legal/dpa
• Amazon Web Services EMEA SARL (Amazon SES) - Zustellung der eigenen Benachrichtigungs-E-Mails der App an den Verantwortlichen (zum Beispiel Kontingent- und Fehlerhinweise); diese E-Mails enthalten nie Besucherdaten oder Formularwerte - Europäische Union - AWS-Region eu-central-1 (Frankfurt, Deutschland) - AVV: https://d1.awsstatic.com/legal/aws-dpa/aws-dpa.pdf